Her geliştirici ve güvenlik ekibi sola kaymak için mücadele ediyor, peki ya güvenlik açıklarını bulup düzeltmeye ne dersiniz? Bu kısır bir olumsuz geri bildirim döngüsüdür: daha fazla kod yazın, daha fazla hata (ve yanlış pozitif) bulun, hataları kovalayarak zaman kaybedin, bunun yerine daha fazla kod yazın, kod kapsamını azaltın, güvenlik riskini artırın. (Bunun grafiğini çizebilirim ama bunu gerçekten istiyor musun?)
SAST tarayıcıları çok fazla yanlış pozitif üretir, DAST tarayıcıları yalnızca kara kutudur.
Geri bildirime dayalı bulanıklaştırıcılara girin, en iyi bulanıklaştırmayı (rastgele girdi enjekte etme) beyaz kutu kod testi ve enstrümantasyonla birleştirir. Daha benzersiz yollar ve güvenlik açıkları bulmak için kapsamlarını sürekli iyileştirmek için otomasyon kullanıyorlar. Geri bildirime dayalı tüyler ürperticiler daha önce bilinmeyen CVE'leri bile buluyor . (Yakında kendi havlama teçhizatımı yapmaya başlamayı umuyorum. Lütfen beni bundan sorumlu tutmama yardım edin.)
Ama WebGoat'a geri dönelim.
WebGoat , OWASP projesi tarafından geliştirilen güvensiz bir web uygulamasıdır . Bu, hataları bulmak ve araçları test etmek için bir test hedefidir. REST API testinin otomatikleştirilmesine ilişkin bu demoda, OSCP ve güvenlik uzmanı Daniel Teuchert , WebGoat'a saldırmak için CI Fuzz'ı kuruyor. Demoyu katalogladım ve en iyi kısımları kalın harflerle yazdım .
18:30 — aracın demosunu başlat
21:30 — VS Kodunda CI Fuzz kurulumu
27:33 — web keçi giriş sayfasında tarama başlar (kimliği doğrulanmamış) 32:28 — tarama webGoat tüy testi için kimlik doğrulama ile başlar 33:33 — benzersiz külliyat girişler 36:20 — hata ayıklama — sorunu kod satırı düzeyinde gösterir 37:45 — Code Intelligence platformu için kullanıcı arabirimi (hata ayıklama, cURL, yığın izleme) 40:15 — CICD'de otomatikleştirme, komut dizileri oluşturma ve her kod işlemede bulanık testlerini otomatikleştirme 42:05 — özet/sonuç (slaytlar)
Ana metrikler:
Açık kaynaklı yazılım paketlerinde (log4j olarak) tespit edilen istismarlar, endüstriyi uygulamalardaki güvenlik açıklarını ve zayıflıkları izlemek, tespit etmek, önlemek ve onarmak için bir çözüm bulmaya yöneltti. Bu ihtiyaç, tüm yazılım geliştirme yaşam döngüsü ile ilgilidir ve hem kendi geliştirdiği hem de üçüncü taraf yazılım bileşenlerini içerir.
Teknoloji dünyasında, işletmeler sürekli olarak siber suçluların şeytani faaliyetlerinin tuzağına düşme riski altındadır. Endişe verici derecede sık hale gelen böyle bir taktik, kimlik bilgilerini doldurmaktır.
Altı yıl sonra ilk kez geri döndüm. Bunu ne kadar zamandır beklediğimi size anlatamam.
"En sıcak aşk, en soğuk sona sahiptir." — Yunan filozofu Sokrates “Aşk, iki bedende yaşayan tek bir ruhtan oluşur.
Yeni Yıl kararlarını ürkütücü ve bunaltıcı buluyorum. En iyi niyetlerle yola çıkarsınız, ancak onlara ayak uydurmakta sefil bir şekilde başarısız olursunuz; Ben sadece kendim için konuşabilirim.
Empati, bir başkasının durumu, zihni (düşünceleri) ve hissi (duyguları) hakkında farkındalık eylemi/sürecidir. Başkalarının bakış açısını anlama kapasitesidir.